QNAP QVR drošības klients 5.1 atrada ievainojamu starpliktuves paroles DoS

QNAP QVR uzraudzības sistēma. QNAP drošība

Vietējās paroles pakalpojuma atteikuma ievainojamību Luis Martinez atklāja QNAP QVR Professional Video Management Solution Client 5.1.1.30070 operētājsistēmā Windows 10 Pro x64 es. Ievades starpliktuves paroles dēļ tika konstatēta ievainojamība, kas atgriež pakalpojumu atteikuma atbildi. Šī ievainojamība izraisa programmatūras avāriju, neļaujot tai veikt funkcijas un pakalpojumus, kurus tā ir paredzēta lietotājam. CVE kods vēl nav piešķirts ievainojamībai, un problēmas novēršanai nav izlaists neviens mazināšanas vai atjaunināšanas plāksteris.

The QNAP QVR versija 5.1 klients ir profesionāla video pārvaldības sistēma augstas izšķirtspējas un zivs acs drošības kadriem, kas pieejama visu logu skatīšanai. QVR sistēma ļauj lietotājiem reāllaikā pārvaldīt un uzraudzīt vairākas ar IP identificējamas kameras tiešraidē, izmantojot tīmekļa pārlūkprogrammu. Klients ļauj lietotājiem kontrolēt un nullei izmantot PTZ, fiksētās un fisheye 360 ​​surround kameras, lai rūpīgi un elastīgi skatītos uz skatuves. Viedā ierakstīšanas funkcija palielina video izšķirtspēju, kas tiek pārsūtīta, kad tiek aktivizēti trauksmes signāli, intuitīvs atskaņošanas režīms precīzi nosaka briesmu punktu ierakstītajos kadros, un dubultā ierakstīšanas funkcija lokāli saglabā HD 30 kadru nomaiņas ātrumu, kaut arī ierobežotais interneta joslas platums spēj pārraidīt tikai VHD 5 kadrus sekundē tajā laikā. Izmantojot šīs pilnīgās lietotāja saskarnes priekšrocības, QNAP QVR sistēma ir populāra drošības sistēma, kas integrēta daudzos veikalos, mājās un birojos, lai atvieglotu piekļuvi, ko tā apkalpo.

Saskaņā ar Luisa Martineza teikto, ja tiek veiktas šādas darbības, lietotājs var atkārtot paroles atteikuma piekļuves atteici. Vispirms ir nepieciešams palaist pitona kodu “python QNap_QVR_Client_5.1.1.30070.py” (vienkārša teksta fails ar 279 burtiem) un pēc tam atvērt failu QNap_QVR_Client_5.1.1.30070.txt, lai kopētu saturu starpliktuvē. Pēc tam atverot QVR.exe> ​​IP adrese 10.10.10.1 / 80, ievadiet lietotājvārdu kā “admin” un ielīmējiet starpliktuvi paroles dialoglodziņā. Nospiežot Labi, sistēma avarē. Tas notiek, jo ievadītā parole ir pārāk gara.

Tā kā šī ir vietēja ievainojamība, tā kļūst bīstama, ja lietotāja akreditācijas dati nav labi aizsargāti vai ja sistēma ir inficēta ar ļaunprātīgu programmatūru, kas spēj paaugstināt atļaujas un izpildīt patvaļīgas komandas, lai izpildītu šo procedūru.

Uzklausot QNAP Marketing tehnisko PR vadītāju Maiklu Vangu, mēs tikām informēti, ka starpliktuves parole DoS ir “tikai datora puses programmatūras kļūda bez novērošanas servera puses traucējumiem vai sensitīvām datu noplūdes problēmām”. Mums tika nodrošināts, ka 'kamēr PC klients (novērošanas video skatīšanai) ir avarējis, novērošanas serveris (ierakstīšanai, kas atrodas atsevišķi mūsu HW produktā) darbojas kā parasti un netiek veikti pārtraukumi.'